link da facebook rimanda a un altro sito

[Giuseppedes]

Buongiorno, da un po di tempo succede una cosa che non riesco a spiegarmi: se condivido un link al mio sito web su facebook, avviene un redirect su un sito diverso. La cosa non succede se condivido lo stesso link altrove.
Sapete quale potrebbe essere il problema?
Ringrazio anticipatamente chi vorrà aiutarmi.


La versione di Joomla utilizzata è 3.7.2, il template utilizzato è GK Magazine.


Se volete vedere un esempio di quello che accade potete vedere questo post:


https://www.facebook.com/euterpecompetition/posts/1224244610969978


Se invece utilizzo un url generato da twitter, il problema non si presenta: https://www.facebook.com/euterpecompetition/posts/1404597659601338

[danielecr]

Credo tu abbia un malware:
http://evuln.com/labs/redirect/www.bolltec.com/

Controlla il file .htaccess, il redirect però potrebbe essere in altri file...Seguirei i consigli generali messi in evidenza in questa sezione.

[Giuseppedes]

htaccess non sembra corrotto. La cosa strana è che va a bolltec soltanto tramite facebook...
Proverò a caricare un backup del sito e spero di risolvere.


Grazie danielecr!

[danielecr]

Esatto, se provi a fare uno spoof del tuo referrer (ad es con l'estensione firefox refcontrol) vedrai che reindirizza a bolltec se provi ad accedere direttamente al tuo sito. Come facebook potrebbero esserci altri referrer.
Devi considerare il tuo sito come compromesso.

[Giuseppedes]

Nei file caricati su server ho trovato un file autoroot.txt di Turkhackteam. Qualcuno ha subito un attacco simile e sa se è possibile risolvere senza dover eliminare tutto e ricaricare un backup sano?

[danielecr]

Cercando in rete, c'è un tool che potrebbe essere stato usato.

Premetto che il tuo sito è da considerarsi totalmente compromesso e che dovresti seguire le linee guida messe in evidenza in questa sezione.

Se poi vuoi cercare di pulire potrebbero esserci questi files:

priv8
conp
izo.cin
dc.pl
python.izo
perlbypass.php
autoroot.txt
jeentel
cgiPerl.dz
read.php
config.izo
priv9
ssi.php
suexec.php
dayi
ftpcrack.php
safe.php
cgi.pr
pss_v.1.0_min.shtml
Ph33r.Ph33r
Ph33r.php

Considera anche che ci potrebbero essere modifiche ai php.ini e .htaccess (non solo quello nella root, ma anche in sottocartelle).

Nulla vieta che abbiano cambiato i nomi delle shell, quindi rimane valido il consiglio scritto in rosso.

[Giuseppedes]

perfetto, grazie mille delle risposte e della velocità nel rispondere!